JP7452397B2 - 電子制御装置、時刻情報提供方法、時刻情報提供プログラム、及び電子制御システム - Google Patents

Description

本発明は、電子制御装置に関するものであり、主として車両用の電子制御装置、電子制御装置で実現する方法、電子制御装置で実行可能なプログラム、及び電子制御装置からなる電子制御システムに関する。

自動車においては、車載ネットワークで接続された様々な電子制御装置が搭載されている。これらの電子制御装置は、共通の時間軸を有することで様々な電子制御装置の機能を連動させて自動車を制御することが可能となる。そのため、自動車に搭載される様々な電子制御装置間で時刻を同期させることが求められている。

例えば、特許文献１には、相互接続された車載装置同士で時刻同期を行う時刻同期システムが開示されている。特許文献１の時刻同期システムでは、ネットワーク内で基準となるグランドマスタを決定し、決定したグランドマスタの時刻にスレーブ装置の時刻を同期させる。そして、ネットワーク内の各装置が、グランドマスタのクロックの誤差を監視することによってグランドマスタに発生した異常を検知した場合には、新たなグランドマスタを決定することでネットワーク内の時刻同期の精度が劣化するのを防ぐ。

特開２０２０－１６７６１６号公報

車載システムにおいて基準となる時刻を提供するマスタ装置（グランドマスタ）は、ＧＰＳ（Global Positioning System）やＧＮＳＳ（Global Navigation Satellite System）受信機といった絶対時刻を有するマスタクロックから定期的に時刻情報を取得することで、マスタ装置、ひいては車載システム全体の時刻の精度を高めることができる。

ここで、本発明者は、以下の課題を見出した。
複数のマスタ装置がマスタクロックから時刻情報をそれぞれ取得して、スレーブ装置に時刻情報を提供する構成は、分散管理モード（Distributed Mode）として知られている。この分散管理モードにおいて、マスタ装置がマスタクロックから時刻情報を取得できない状況が発生した場合、それぞれのマスタ装置が有する時刻にずれが生じるおそれがある。その結果、これらのマスタ装置から時刻情報が提供されるスレーブ装置間の時間にもずれが生じて、車載システム全体の時刻同期の精度が劣化するおそれがある。

そこで、本発明は、複数のマスタ装置がマスタクロックから取得した時刻情報をスレーブ装置にそれぞれ提供する構成において、マスタクロックから時刻情報が取得できない場合でも、車載システム内の時刻同期の精度を維持することを目的とする。

本開示の一態様による電子制御装置は、第１の時計（１１１）を有し、前記第１の時計の時刻を示す第１の時刻情報を第１のスレーブ部（１２０）に提供する電子制御装置（１０）であって、当該電子制御装置は、第２の時計を有し、前記第２の時計の時刻を示す第２の時刻情報を第２のスレーブ部に提供するマスタ装置と接続されており、基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得する時刻情報取得部（１１２）と、前記マスタクロックに異常が発生したことを検出する異常検出部（１１４）と、前記異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行う同期処理部（１１５）と、前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、前記第１のスレーブ部に送信する時刻情報送信部（１１６）と、を備える。

本開示の他の態様による時刻情報提供方法は、第１の時計（１１１）を有し、前記第１の時計の時刻を示す第１の時刻情報を第１のスレーブ部（１２０）に提供する電子制御装置（１０）で実行される時刻情報提供方法であって、前記電子制御装置は、第２の時計を有し、前記第２の時計の時刻を示す第２の時刻情報を第２のスレーブ部に提供するマスタ装置と接続されており、基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得し（Ｓ１０１、Ｓ１０２）、前記マスタクロックに異常が発生したことを検出し（Ｓ１１１）、前記異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行い（Ｓ１１２）、前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、前記第１のスレーブ部に送信する（Ｓ１０３）。

本開示の他の態様による時刻情報提供プログラムは、第１の時計（１１１）を有し、前記第１の時計の時刻を示す第１の時刻情報を第１のスレーブ部（１２０）に提供する電子制御装置（１０）で実行可能な時刻情報提供プログラムであって、前記電子制御装置は、第２の時計を有し、前記第２の時計の時刻を示す第２の時刻情報を第２のスレーブ部に提供するマスタ装置と接続されており、基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得し（Ｓ１０１、Ｓ１０２）、前記マスタクロックに異常が発生したことを検出し（Ｓ１１１）、前記異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行い（Ｓ１１２）、前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、前記第１のスレーブ部に送信する（Ｓ１０３）。

本開示の他の態様による電子制御システムは、第１の時計（１１１ａ）を有する第１の電子制御装置（１０ａ）及び第２の時計（１１１ｂ）を有する第２の電子制御装置（１０ｂ）を備える電子制御システム（１）であって、前記第１の電子制御装置は、基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得する第１の時刻情報取得部（１１２ａ）と、前記マスタクロックに異常が発生したことを検出する第１の異常検出部（１１４ａ）と、前記異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行う第１の同期処理部（１１５ａ）と、前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す第１の時刻情報を、第１のスレーブ部に送信する第１の時刻情報送信部（１１６ａ）と、を備え、前記第２の電子制御装置は、前記マスタクロックにアクセスして、前記基準時刻を取得する第２の時刻情報取得部（１１２ｂ）と、前記マスタクロックに異常が発生したことを検出する第２の異常検出部（１１４ｂ）と、前記異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行う第２の同期処理部（１１５ｂ）と、前記基準時刻を取得した後の前記第２の時計の時刻である前記基準時刻を示す前記第２の時刻情報、又は前記同期を行った後の前記第２の時計の時刻である同期時刻を示す第２の時刻情報を、第２のスレーブ部に送信する第２の時刻情報送信部（１１６ｂ）と、を備える。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

本開示の電子制御装置、時刻情報提供方法、時刻情報提供プログラム、及び電子制御システムにより、マスタ装置がマスタクロックから時刻情報が取得できない場合であっても、車載システム内の装置間で時刻を同期させることが可能となる。

本実施形態の電子制御システムを説明する図 本実施形態のマスタ装置である電子制御装置の構成を説明する図 本実施形態の電子制御システム全体の動作を説明する図 本実施形態の同期マスタ部の動作を説明する図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．車載システム１の構成
図１を用いて、本実施形態の電子制御システム及び電子制御装置を説明する。本実施形態の電子制御装置及び電子制御システムは、「移動体」である車両に「搭載」される車載装置及び車載システムを想定しているが、これらに限定されるものではない。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
また、「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

電子制御システム１は、複数の「電子制御装置」（以下、ＥＣＵ：Electronic Control Unit）（ＥＣＵ１０ａ、ＥＣＵ１０ｂ）及びマスタクロック２０から構成されるシステムである。電子制御システム１は、任意の数のＥＣＵから構成される。これらのＥＣＵとマスタクロック２０とは、例えば、ＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）といった車載ネットワーク、イーサネット（登録商標）、無線通信ネットワークを介して接続されている。

ここで、「電子制御装置」とは、例えば、主に半導体装置で構成され、ＣＰＵ（Central Processing Unit）、およびＲＡＭ（Random Access Memory）等の揮発性記憶部を有する、いわゆる情報処理装置として構成されていてもよい。この場合、情報処理装置はさらに、フラッシュ保存部等の不揮発性記憶部、通信ネットワーク等に接続されるネットワークインターフェース部等を有していてもよい。さらに、このような情報処理装置はパッケージ化された半導体装置（素子）であっても、配線基板において各半導体装置が配線接続された構成であってもよい。

電子制御システム１を構成するＥＣＵ１０（１０ａ、１０ｂ）は例えば、Adaptive Platform（ＡＰ）と呼ばれる、動的な機能の拡張が可能なプラットフォームをベースとしたＥＣＵを想定している。ＡＰは主に、自動運転用のＥＣＵに適したプラットフォームである。ＥＣＵ１０の詳細な構成は詳述する。なお、本実施形態のＥＣＵは、ＡＰをベースとしたものに限定されるものではなく、Classic Platform（ＣＰ）と呼ばれる、静的な機能を最適化したプラットフォームをベースとしたＥＣＵであってもよい。

マスタクロック２０は、電子制御システム１の外部と同期された時刻を有する時計である。マスタクロック２０は例えば、ＧＰＳ（Global Positioning System）やＧＮＳＳ（Global Navigation Satellite System）の受信機が取得した時刻である基準時刻を有する。

なお、以下に示す実施形態は、分散管理モード（Distributed Mode）と呼ばれる、各スレーブ部に時刻情報を提供する同期マスタ部が複数存在するモードに適用される。

２．ＥＣＵ１０の構成
ＥＣＵ１０は、同期マスタ部１１０及びスレーブ部１２０を有する。同期マスタ部１１０及びスレーブ部１２０はそれぞれがＥＣＵ１０上の別の仮想マシン上で動作してもよい。以下に、図２を参照して、ＥＣＵ１０の構成を説明する。なお、ＥＣＵ１０ａ、ＥＣＵ１０ｂの各構成の機能及び動作は同じである。

ＥＣＵ１０は、汎用のＣＰＵ、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図２に記載の各機能ブロックの機能を発揮させるように構成することができる。もちろん、ＥＣＵ１０の各機能を、ＬＳＩ等の専用のハードウェアで実現してもよい。以下に説明する他のＥＣＵについても同様である。

同期マスタ部１１０は主に、スレーブ部１２０に対し、スレーブ部１２０において基準となる時刻情報を提供する機能を有する。同期マスタ部１１０は、内部クロック１１１、時刻情報取得部１１２、内部クロック制御部１１３、異常検出部１１４、同期処理部１１５、及び時刻情報送信部１１６を備える。

内部クロック１１１（「第１の時計」、「第２の時計」に相当）は、同期マスタ部１１０の時計として機能する。内部クロック１１１は、絶対的な時刻を計測するものの他、所定の間隔を計測するもの、例えば、カウンタ、発振器であってもよい。

時刻情報取得部１１２は、マスタクロック２０にアクセスして、マスタクロック２０の基準時刻を「取得」する。例えば、時刻情報取得部１１２は、マスタクロック２０に対して、基準時刻の送信を要求する基準時刻リクエストを送信する。そして、マスタクロック２０から、基準時刻リクエストに対する応答として、マスタクロック２０の基準時刻を含む基準時刻リプライを受信することによって基準時刻を取得する。

ここで、「取得」とは、マスタクロックから基準時刻を受信することによって取得する場合の他、マスタクロックから受信した情報を用いることにより、演算によって基準時刻を取得する場合も含む。

あるいは、時刻情報取得部１１２は、マスタクロック２０に対して、内部クロック１１１の現在時刻を含む基準時刻リクエストを送信してもよい。この場合、時刻情報取得部１１２は、マスタクロック２０から、基準時刻リクエストに対する応答として、内部クロック１１１の現在時刻とマスタクロック２０の基準時刻との差分時刻を含む基準時刻リプライを受信する。そして、時刻情報取得部１１２は、内部クロック１１１の現在時刻と、マスタクロック２０から送信された基準時刻リプライに含まれる差分時刻とに基づいてマスタクロック２０が有する基準時刻を推定することによって基準時刻を取得してもよい。

別の方法として、時刻情報取得部１１２は、ＩＥＥＥ８０２．１ＡＳ規格や、ＰＴＰ（Precision Time Protocol）の仕様に基づく時刻同期の手法を利用して、マスタクロック２０と時刻同期を行うことで、基準時刻を取得してもよい。

内部クロック制御部１１３は、内部クロック１１１の時刻を制御する。例えば、時刻情報取得部１１２がマスタクロック２０にアクセスして基準時刻を取得した場合、内部クロック制御部１１３は、内部クロック１１１の時刻が基準時刻となるように、内部クロック１１１を制御する。

異常検出部１１４は、マスタクロック２０に異常が発生したことを検出する。例えば、異常検出部１１４は、時刻情報取得部１１２が基準時刻リクエストを送信したにもかかわらず、基準時刻リプライを受信できず基準時刻を取得できない場合に、マスタクロック２０に異常が発生したことを検出する。なお、同期マスタ部１１０とマスタクロック２０との間の通信の混雑によって、時刻情報取得部１１２が基準リプライを受信できない可能性もある。そのため、異常検出部１１４は、所定の回数以上、基準リプライを受信できない場合に、異常が発生したことを検出してもよい。

他の例として、異常検出部１１４は、内部クロック１１１の時刻を示す時刻情報（「第１の時刻情報」に相当）と他の同期マスタ部の内部クロックの時刻を示す時刻情報（「第２の時刻情報」に相当）との差分、及び内部クロック１１１の時刻情報と時刻情報取得部１１２が取得した基準時刻情報を示す基準時刻情報との差分に基づいて、異常を検出してもよい。例えば、内部クロック１１１ａの時刻情報と、他の同期マスタ部１１０ｂの内部クロック１１１ｂの時刻情報との差分が小さい場合、これらの内部クロック（１１１ａ、１１１ｂ）は近い時刻を示していることを意味する。内部クロック１１１ａ、１１１ｂの時刻は、内部クロック制御部１１３ａ、１１３ｂによって基準時刻となるようにそれぞれ制御されているため、内部クロック１１１ａの時刻と、時刻情報取得部１１２が取得する基準時刻との差分も小さくなるはずである。ところが、内部クロック１１１の時刻情報と基準時刻情報との差分が大きい場合、マスタクロック２０の基準時刻が、何らかの理由により正確ではなくなっている可能性が高い。そこで、このような場合、異常検出部１１４は、マスタクロック２０の異常を検出する。

異常検出部１１４はさらに、マスタクロック２０の異常を検出した後、マスタクロック２０が当該異常から回復したことを検出してもよい。例えば、時刻情報取得部１１２は、マスタクロック２０の異常が検出された後も基準時刻リクエストを送信し続け、基準時刻リプライを受信することができた場合には、異常検出部１１４はマスタクロック２０が異常から回復したことを検出する。

あるいは、異常検出部１１４は、時刻情報取得部１１２が取得する基準時刻の値を継続的にモニタし、基準時刻が異常な値ではなく、正確な値を示していると判定した場合に、マスタクロック２０が異常から回復したことを検出してもよい。

同期処理部１１５は、異常検出部１１４がマスタクロック２０の異常を検出した場合に、内部クロック１１１と、他の同期マスタ部が有する内部クロックとの時刻の「同期」を行う。図１の例では、同期マスタ部１１０ａの同期処理部１１５ａは、内部クロック１１１ａ（「第１の時計」に相当）と、同期マスタ部１１０ｂが有する内部クロック１１１ｂ（「第２の時計」に相当）との同期処理を行う。

ここで、「同期」とは、２以上の時計の時刻を同じものとすることをいい、これらの時計の時刻をいかなる時刻とするかは任意である。例えば、第１の時計の時刻を第２の時計の時刻に合わせることはもちろん、第１の時計の時刻に第２の時計の時刻を合わせる、あるいは、第１及び第２の時計の時刻をこれらの時計の平均時刻とすることも含む。

例えば、同期処理部１１５ａは、同期マスタ部１１０ｂの内部クロック１１１ｂの時刻を、内部クロック１１１ａの時刻に補正することを指示するメッセージを送信する。これにより、同期マスタ部１１０ｂの内部クロック１１１ｂの時刻は、内部クロック１１１ａの時刻と等しくなるように制御され、内部クロック１１１ａと内部クロック１１１ｂの同期が行われる。

なお、同期処理部１１５ａは、アダプテーション処理を用いて同期処理を行ってもよい。アダプテーション処理では、同期処理部１１５ａは、第１のメッセージを同期処理部１１５ｂに送信する。第１のメッセージには、内部クロック１１１ａの時刻情報として、メッセージの送信時刻（ｔ１）が含まれている。同期処理部１１５ｂは、第１のメッセージを受信すると、当該第１のメッセージを受信した受信時刻（ｔ２）を含む第２のメッセージを同期処理部１１５ａに送信する。同期処理部１１５ａは、第２のメッセージの受信時刻（ｔ３）を取得する。ここで、同期処理部１１５ａは、第１のメッセージを送信してから第２のメッセージを受信するまでの時間（ｔ４＝ｔ３－ｔ１）から、同期処理部１１５ａから送信されたメッセージが、同期処理部１１５ｂで受信されるまでに要する時間（ｔ４／２）を推定することができる。この時間と、第１のメッセージの受信時刻と送信時刻との差分（ｔ２－ｔ１）が、内部クロック１１５ａ、１１５ｂの時刻の差分であると推定される。そこで、同期処理部１１５ａは、算出した差分とともに、当該差分を補正することを指示するメッセージを同期処理部１１５ｂに送信することで、同期処理を行う。

あるいは、上述した処理とは逆に、同期処理部１１５ａは、同期マスタ部１１０ａの内部クロック１１１ａの時刻を内部クロック１１１ｂの時刻に補正することを指示するメッセージを受信してもよい。このような場合、同期処理部１１５ａは、内部クロック制御部１１３ａを用いて、内部クロック１１１ａの時刻が内部クロック１１１ｂの時刻と等しくなるように制御することで、内部クロック１１１ａと内部クロック１１１ｂの同期処理を行う。

内部クロック１１１ａ、内部クロック１１１ｂのうち、いずれの内部クロックが示す時刻情報に補正するかは予め設定されていてもよい。例えば、内部クロック１１１ａ、内部クロック１１１ｂには「優先度」（「第１の優先度」、「第２の優先度」に相当）が予め設定されており、同期処理部１１５ａは高い優先度を有する内部クロックの時刻情報を選択して、内部クロック１１１ａの時刻を高い優先度を有する他の内部クロックの時刻に補正することによって同期処理を行ってもよい。

ここで、「優先度」とは、所定の評価基準に基づき分類される指標であり、分類の数は複数以上であればよい。

あるいは、内部クロック１１１ａが示す時刻情報と、内部クロック１１１ｂが示す時刻情報の平均時刻を算出し、内部クロック１１１ａ、１１１ｂの時刻を、算出した平均時刻に補正することによって同期処理を行ってもよい。

なお、同期処理部１１５は、異常検出部１１４が、マスタクロック２０が異常から回復したことを検出するまで、他の同期マスタ部の内部クロックとの間で同期処理を継続して行うことが望ましい。例えば、異常検出部１１４が、マスタクロック２０が異常から回復したことを検出すると、同期処理部１１５は同期処理を終了し、時刻情報取得部１１２は再びマスタクロック２０にアクセスして基準時刻を取得する。これにより、各同期マスタ部１１０は、マスタクロック２０から基準時刻を取得できない間、同期マスタ部１１０間で同じ時間軸を共有することが可能となり、さらに、マスタクロック２０が異常から回復すると再びマスタクロック２０との同期を行うことで時間軸を共有することができる。

異常検出部１１４が、マスタクロック２０が異常から回復したことを検出した場合であっても、同期処理部１１５は直ちに同期処理を終了しなくてもよい。同期マスタ部１１０間で共有された時刻と、異常から回復したマスタクロック２０の基準時刻との間にずれが生じていることがある。時刻のずれが大きい場合、同期マスタ部１１０の内部クロック１１１の時刻を基準時刻に合わせることで、内部クロック１１１の時刻は大きく変化することになる。特に、電子制御システムが車両に搭載された車載システムである場合、車両の安全性の観点から、内部クロック１１１の時刻を大きく変化させることは望ましくない。

そこで、異常検出部１１４が、マスタクロック２０が異常から回復したことを検出した場合であっても、同期処理部１１５は直ちに同期処理を終了せず、同期処理を継続して行ってもよい。そして、例えば、車両が停止した場合に同期処理を終了して、内部クロック１１１の時刻を基準時刻に補正する。車両が停止している場合、車両の走行や動作を制御する電子制御装置の機能は停止している状態である。そこで、車両が停止しているときに同期処理を終了することで、安全に内部クロック１１１の時刻を基準時刻に補正する。

あるいは、車両の走行中に、内部クロック１１１の時刻を徐々に補正することにより、異常から回復したマスタクロック２０との同期を行ってもよい。上述した通り、内部クロック１１１の時刻を大きく変化させることは車両の安全性の観点から望ましくないが、車両が直ちに停止しない場合には、内部クロック１１１の時刻がマスタクロック２０との時刻に同期されるまでに時間がかかる可能性がある。そこで、同期マスタ部１１０間で共有された時刻と、マスタクロック２０の基準時刻との間の時刻のずれが徐々に小さくなるように、内部クロック１１１の時刻を変化させる。これにより、マスタクロック２０が異常から回復した後に車両が停止せず走行を継続する場合でも、安全に内部クロック１１１の時刻を基準時刻に補正することができる。

異常検出部１１４はさらに、マスタクロック２０の異常を検出した後、所定の時間にわたってマスタクロック２０が異常から回復したことを検出できない場合には、車両を安全な場所に移動させて停止させることを通知してもよい。車両が自動運転車の場合、異常検出部１１４は例えば、車両の移動及び停止を制御するＥＣＵに対して通知する。あるいは、車両の運転者に対して、ナビゲーションシステムを用いて視覚的に通知をしてもよい。

時刻情報送信部１１６は、スレーブ部１２０に対し、内部クロック１１１の時刻を「示す」時刻情報を送信する。上述したとおり、マスタクロック２０に異常が発生していない場合は、内部クロック１１１の時刻は時刻情報取得部１１２が取得した基準時刻と等しくなるように制御されている。したがって、時刻情報送信部１１６が送信する時刻情報とは、基準時刻を「示す」時刻情報である。
ただし、異常検出部１１４がマスタクロック２０の異常を検出した場合、同期処理部１１５によって、内部クロック１１１は他の同期マスタ部が有する内部クロックと同期が行われている。例えば、内部クロック１１１ａの時刻は、内部クロック１１１ｂと同期した時刻（「同期時刻」に相当）と等しくなるように制御される。したがって、異常検出部１１４がマスタクロック２０の異常を検出した場合には、時刻情報送信部１１６が送信する時刻情報とは、同期を行った後の内部クロック１１１の時刻を「示す」時刻情報である。

ここで、「示す」とは、時刻そのものを直接的に示す場合の他、時刻を間接的に示す場合も含む。

時刻情報送信部１１６が送信する時刻情報は、基準時刻や同期後の時刻そのものでなくともよい。例えば、同期マスタ部１１０は、スレーブ部１２０に対して、スレーブ部１２０の内部クロックの時刻の送信を予め要求し、スレーブ部１２０の時刻と、内部クロック１１１の時刻である基準時刻との差分を示す差分時刻を、時刻情報としてスレーブ部１２０に送信してもよい。このような差分時刻は、間接的に基準時刻を示すものである。なお、スレーブ部１２０の時刻の精度を高めるために、時刻情報送信部１１６は、定期的に時刻情報をスレーブ部１２０に送信することが望ましい。

スレーブ部１２０は、内部クロック（図示せず）を有し、同期マスタ部１１０から受信した時刻情報に合わせて、内部クロックが示す時刻を補正する。これにより、スレーブ部１２０において基準となる時刻は、同期マスタ部１１０から受信した時刻情報が示す時刻となり、同期マスタ部１１０とスレーブ部１２０との間で同期が行われる。

スレーブ部１２０は例えば、車両の操舵、加減速、ハンドルといった車両の制御を行うＥＣＵの機能である。スレーブ部１２０において基準となる時刻が、同期マスタ部１１０、ひいてはマスタクロック２０と同期されることにより、スレーブ部１２０は、例えば、車載センサ等と共有する時間軸を有することができる。その結果、車載センサが取得した情報に基づいて判断される、周辺物体に対する相対位置において、スレーブ部１２０は適切なタイミングで制御を行うことが可能となる。

なお、本実施形態では、同期マスタ部１１０が、同じＥＣＵに搭載されたスレーブ部１２０に時刻情報を提供する構成を説明した。しかしながら、同期マスタ部１１０が時刻情報を提供するスレーブ部は、それぞれの同期マスタ部と同じＥＣＵに設けられたスレーブ部に限定されるものではない。例えば、これらの同期マスタ部１１０は、ＥＣＵ１０とは異なるＥＣＵに設けられたスレーブ部に時刻情報を提供するものであってもよい。

上述したとおり、ＥＣＵ１０ａ、ＥＣＵ１０ｂは、スレーブ部１２０に対して基準となる時刻情報を提供する電子制御装置であることから、「マスタ装置」とも称される。

３．電子制御システム１の動作
次に、図３、図４を用いて、電子制御システム１、及びＥＣＵ１０の動作を説明する。図３は、電子制御システム１全体の動作を説明する図であり、図４は、同期マスタ部１１０の処理を説明するフローチャートである。図４に示す各処理は、共通する符号が付された図３に示す各処理と同じであることを示している。

ＥＣＵの動作とは、ＥＣＵで実行される時刻情報提供方法を示すだけでなく、ＥＣＵで実行可能な時刻情報提供プログラムの処理手順を示すものである。そして、これらの処理は、図３、図４で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

同期マスタ部１１０の時刻情報取得部１１２は、マスタクロック２０に対して基準時刻リクエストを送信する（Ｓ１０１）。
時刻情報取得部１１２は、基準時刻リクエストに対してマスタクロック２０から送信された、基準時刻リプライを受信することにより、マスタクロック２０が有する基準時刻を取得する（Ｓ１０２）。
時刻情報送信部１２４は、Ｓ１０２で取得した基準時刻を示す時刻情報を、スレーブ部１２０に送信する（Ｓ１０３）。
なお、ＥＣＵ１０ａ、ＥＣＵ１０ｂの同期マスタ部１１０（１１０ａ、１１０ｂ）はそれぞれ、Ｓ１０１乃至Ｓ１０３の処理をそれぞれ行う。

一方、マスタクロック２０に何らかの異常が発生した場合には、以下の動作が行われる。
同期マスタ部１１０の時刻情報取得部１１２は、マスタクロック２０に対して基準時刻リクエストを送信する（Ｓ１０１）。
ここで、マスタクロック２０に異常が発生している場合、時刻情報取得部１１２は基準時刻リプライを受信することができず、基準時刻を取得することはできない。そこで、異常検出部１１４は、マスタクロック２０に異常が発生したことを検出する（Ｓ１１１）。
Ｓ１１１において異常を検出すると、同期マスタ部１１０の同期処理部１１５は、他の同期マスタ部１１０と同期を行う。具体的には、同期処理部１１５ａは、ＥＣＵ１０ａの内部クロック１１１ａと、他のＥＣＵ１０ｂの内部クロック１１１ｂとが同期するように処理を行う（Ｓ１１２）。
そして、Ｓ１１２で同期処理を行った後の内部クロック１１１が示す時刻情報をスレーブ部１２０に送信する（Ｓ１０３）。

なお、図３、図４では、異常検出部１１４が、基準時刻リプライを受信することができるか否かに応じて異常を検出する例を説明しているが、受信した基準時刻リプライの内容に基づいて異常を検出してもよい。

同期マスタ部１１０がマスタクロックの基準時刻を取得できない場合、同期マスタ部１１０ａがスレーブ部１２０ａに提供する時刻情報と、同期マスタ部１１０ｂがスレーブ部１２０ｂに提供する時刻情報とにずれが生じ、車載システム内の各装置間の時刻同期の精度が劣化するおそれがある。これに対し、本実施形態によれば、同期マスタ部１１０がマスタクロック２０の基準時刻を取得できない場合には、それぞれの同期マスタ部の間で同期処理を行うことにより、複数の同期マスタ部が有する時刻はそれぞれ共有される。その結果、これらの同期マスタ部１１０から時刻情報が提供されるスレーブ部１２０間の時刻を同期させることができ、マスタクロックに異常が発生した場合でも電子制御システム内の各装置における時刻同期の精度を維持することが可能となる。

４．総括
以上、本発明の各実施形態における電子制御装置、及び当該電子制御装置を備える電子制御システムの特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態の電子制御装置は、車両に搭載される車載を構成する電子制御装置であることを前提としているが、本発明の電子制御装置は、特許請求の範囲で特に限定する場合を除き、任意の電子制御システムに適用される。

また、本発明の装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また各装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、保存部やハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及び保存部等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢ保存部、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の電子制御装置は、主として自動車に搭載される車載用電子制御装置として説明したが、自動二輪車、船舶、鉄道、航空機等、移動する移動体全般に適用することが可能である。また、移動体に限らず、マイクロコンピュータを包含する製品全般に適用可能である。

１ 電子制御システム、１０ 電子制御装置、２０ マスタクロック、１１１ 内部クロック、１１２ 時刻情報取得部、１１４ 異常検出部、１１５ 同期処理部、１１６ 時刻情報送信部、１２０ スレーブ部

Claims (8)

1. 第１の時計（１１１）を有し、前記第１の時計の時刻を示す第１の時刻情報を第１のスレーブ部（１２０）に提供する電子制御装置（１０）であって、
   当該電子制御装置は、第２の時計を有し、前記第２の時計の時刻を示す第２の時刻情報を第２のスレーブ部に提供するマスタ装置と接続されており、
   基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得する時刻情報取得部（１１２）と、
   前記マスタクロックに異常が発生したことを検出する異常検出部（１１４）と、
   前記異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行う同期処理部（１１５）と、
   前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、前記第１のスレーブ部に送信する時刻情報送信部（１１６）と、
   を備える、電子制御装置であって、
   当該電子制御装置は、車両に搭載される装置であり、
   前記異常検出部が前記異常から回復したことを検出し、且つ、前記車両が停止した場合に、前記同期処理部は前記同期を終了する、
   電子制御装置。
2. 前記異常検出部は、前記第１の時刻情報と前記第２の時刻情報との差分、及び前記第１の時刻情報と前記基準時刻を示す基準時刻情報との差分に基づいて、前記異常を検出する、
   請求項１記載の電子制御装置。
3. 前記異常検出部は、前記マスタクロックから前記基準時刻を取得できない場合に、前記異常を検出する、
   請求項１記載の電子制御装置。
4. 前記第１の時計には第１の優先度が、前記第２の時計には第２の優先度が設定されており、
   前記同期処理部は、前記第１の時計を、前記第１の優先度及び前記第２の優先度のうち高い優先度を有する時計の時刻とすることによって前記同期を行う、
   請求項１記載の電子制御装置。
5. 前記異常検出部はさらに、前記マスタクロックが前記異常から回復したことを検出し、
   前記異常検出部が前記異常から回復したことを検出した場合、前記同期処理部は前記同期を終了する
   請求項１記載の電子制御装置。
6. 第１の時計（１１１）を有し、前記第１の時計の時刻を示す第１の時刻情報を第１のスレーブ部（１２０）に提供する電子制御装置（１０）で実行される時刻情報提供方法であって、
   前記電子制御装置は、車両に搭載されるとともに第２の時計を有し、前記第２の時計の時刻を示す第２の時刻情報を第２のスレーブ部に提供するマスタ装置と接続されており、
   基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得し（Ｓ１０１、Ｓ１０２）、
   前記マスタクロックに異常が発生したことを検出し（Ｓ１１１）、
   前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行い（Ｓ１１２）、
   前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、前記第１のスレーブ部に送信し（Ｓ１０３）、
   前記異常から回復したことを検出し、且つ、前記車両が停止した場合に、前記同期を終了する、
   時刻情報提供方法。
7. 第１の時計（１１１）を有し、前記第１の時計の時刻を示す第１の時刻情報を第１のスレーブ部（１２０）に提供する電子制御装置（１０）で実行可能な時刻情報提供プログラムであって、
   前記電子制御装置は、車両に搭載されるとともに第２の時計を有し、前記第２の時計の時刻を示す第２の時刻情報を第２のスレーブ部に提供するマスタ装置と接続されており、
   基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得し（Ｓ１０１、Ｓ１０２）、
   前記マスタクロックに異常が発生したことを検出し（Ｓ１１１）、
   前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行い（Ｓ１１２）、
   前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、前記第１のスレーブ部に送信し（Ｓ１０３）、
   前記異常から回復したことを検出し、且つ、前記車両が停止した場合に、前記同期を終了する、
   時刻情報提供プログラム。
8. 第１の時刻情報を提供する第１の時計（１１１ａ）を有する第１の電子制御装置（１０ａ）及び第２の時刻情報を提供する第２の時計（１１１ｂ）を有する第２の電子制御装置（１０ｂ）を備える電子制御システム（１）であって、
   前記第１の電子制御装置は、車両に搭載されるとともに、
   基準時刻を有するマスタクロック（２０）にアクセスして、前記基準時刻を取得する第１の時刻情報取得部（１１２ａ）と、
   前記マスタクロックに異常が発生したことを検出する第１の異常検出部（１１４ａ）と、
   前記第１の異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行う第１の同期処理部（１１５ａ）と、
   前記基準時刻を取得した後の前記第１の時計の時刻である前記基準時刻を示す前記第１の時刻情報、又は前記同期を行った後の前記第１の時計の時刻である同期時刻を示す前記第１の時刻情報を、第１のスレーブ部に送信する第１の時刻情報送信部（１１６ａ）と、
   を備え、
   前記第２の電子制御装置は、前記車両に搭載されるとともに、
   前記マスタクロックにアクセスして、前記基準時刻を取得する第２の時刻情報取得部（１１２ｂ）と、
   前記マスタクロックに異常が発生したことを検出する第２の異常検出部（１１４ｂ）と、
   前記第２の異常検出部で前記異常を検出した場合に、前記第１の時計と前記第２の時計との同期を行う第２の同期処理部（１１５ｂ）と、
   前記基準時刻を取得した後の前記第２の時計の時刻である前記基準時刻を示す前記第２の時刻情報、又は前記同期を行った後の前記第２の時計の時刻である前記同期時刻を示す前記第２の時刻情報を、第２のスレーブ部に送信する第２の時刻情報送信部（１１６ｂ）と、
   を備える、電子制御システムであって、
   前記第１の異常検出部及び前記第２の異常検出部が前記異常から回復したことを検出し、且つ、前記車両が停止した場合に、前記第１の同期処理部及び前記第２の同期処理部は前記同期を終了する、
   電子制御システム。